← Toutes les ressources

NIS2 Belgique : votre boutique en ligne est-elle concernée ?

Publié le 19 octobre 2026 · 8 min de lecture · CyberNovaLabs.io

Un webshop belge qui vend ses propres produits n'est presque jamais concerné par NIS2. Une place de marché, elle, est une entité importante — et devait s'enregistrer auprès du CCB dès le 18 décembre 2024, trois mois avant tout le monde. Ce qui s'applique vraiment, ce qui ne s'applique pas, et ce que vos clients vous demanderont quand même.

La réponse courte

Pour la grande majorité des boutiques en ligne belges, la réponse est non : NIS2 ne s'applique pas à un webshop qui vend ses propres produits. La directive ne visait pas « le commerce en ligne » en bloc, elle visait trois services numériques précis — les places de marché en ligne, les moteurs de recherche et les plateformes de réseaux sociaux^[1][9]. Vendre vos chaussures, vos pièces détachées ou vos cosmétiques sur votre propre site ne fait pas de vous une place de marché : vous ne mettez pas en relation des acheteurs et des vendeurs tiers.

Deux exceptions concernent beaucoup de monde dans le secteur, et c'est là que le sujet devient utile. Première exception : si votre plateforme accueille des vendeurs tiers, vous êtes une place de marché en ligne, donc une entité importante dès 50 salariés ou 10 millions d'euros de chiffre d'affaires. Seconde exception : même hors périmètre, vous allez être interrogé par vos clients qui, eux, sont dedans. C'est aujourd'hui le vrai sujet de l'e-commerce B2B belge.

Êtes-vous concerné ? Les quatre questions

Dans l'ordre. Un « non » aux deux premières suffit à vous sortir du périmètre direct.

1. Des vendeurs tiers vendent-ils sur votre site ? C'est le critère qui tranche. Une marketplace met en relation des acheteurs et des vendeurs qui ne sont pas vous. Un site de marque, même avec 40 000 références et du dropshipping, reste un vendeur qui vend.
2. Dépassez-vous 50 salariés, ou 10 millions d'euros de chiffre d'affaires et 10 millions de bilan ? En dessous, une place de marché sort en principe du périmètre par la taille, sauf désignation particulière^[1].
3. Votre établissement principal est-il en Belgique ? Pour les services numériques, la compétence ne suit pas vos clients : c'est le pays de l'établissement principal qui désigne l'autorité^[2]. Une place de marché dont la direction et les décisions de sécurité se prennent à Gand relève du CCB, même si 70 % de son chiffre vient de France.
4. Exercez-vous une autre activité listée ? Beaucoup d'acteurs e-commerce sont aussi transporteurs avec flotte propre, exploitants d'entrepôt pour compte de tiers, ou revendeurs d'hébergement. Ces activités ont leurs propres seuils, et c'est souvent par là que le périmètre arrive.

NIS2 Belgique e-commerce : ce que la loi du 26 avril 2024 exige

En Belgique, NIS2 n'est pas restée une directive : elle a été transposée par la loi du 26 avril 2024, applicable depuis le 18 octobre 2024^[1][2]. L'autorité compétente est le Centre pour la Cybersécurité Belgique (CCB), et non l'Autorité de protection des données, qui garde le RGPD. Si vous êtes dans le périmètre, quatre blocs d'obligations s'appliquent.

• Vous enregistrer auprès du CCB. C'est une démarche déclarative, pas un audit, et elle conditionne tout le reste : tant que vous n'êtes pas enregistré, vous n'êtes pas dans les listes de l'autorité et vous ne recevez pas ses avis^[3].
• Mettre en place des mesures de gestion des risques. Le CCB a publié son propre cadre, CyberFundamentals (CyFun®), avec des niveaux Small, Basic, Important et Essential et un outil d'auto-évaluation gratuit^[6]. C'est une particularité belge utile : là où un dirigeant lit ailleurs des recommandations générales, le dirigeant belge dispose d'une grille de mesures et d'un chemin de preuve.
• Notifier les incidents significatifs, en trois temps : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final au plus tard un mois après la notification^[4]. Le piège propre à l'e-commerce : une fuite de données clients déclenche deux horloges — celle du CCB et celle du RGPD, 72 heures vers l'Autorité de protection des données^[10]. Deux destinataires, deux dossiers, un seul incident.
• Responsabilité de la direction. Les amendes plafonnent à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour une entité essentielle, et à 7 millions ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu^[5]. Une place de marché est en principe une entité importante : c'est le second barème qui s'applique.

L'échéance du 18 décembre 2024 : l'e-commerce a été servi en premier

Voilà l'élément belge que presque personne dans le secteur n'a vu passer. Le calendrier d'enregistrement auprès du CCB n'a pas été le même pour tout le monde : les entités essentielles et importantes avaient jusqu'au 18 mars 2025, mais une liste courte — fournisseurs de services cloud, places de marché en ligne, moteurs de recherche et plateformes de réseaux sociaux — devait être enregistrée dès le 18 décembre 2024^[2]. Trois mois plus tôt, et en pleine période Black Friday et Noël : le pire moment de l'année pour une équipe e-commerce.

Si vous êtes dans la deuxième ou la troisième ligne et que vous n'êtes pas enregistré, le retard approche les deux ans. L'enregistrement reste possible, et c'est la première chose à faire — avant toute mesure technique. Le même raisonnement, appliqué à vos prestataires techniques, est détaillé dans notre guide sur NIS2 en Belgique pour les éditeurs de logiciels et les prestataires IT ; et si vous vendez aussi depuis le Grand-Duché, les critères diffèrent, voir NIS2 et l'e-commerce au Luxembourg.

Hors périmètre, mais rattrapé par la chaîne d'approvisionnement

C'est ici que le webshop « non concerné » redevient concerné — par contrat, pas par la loi. NIS2 oblige les entités du périmètre à maîtriser la sécurité de leurs fournisseurs. Conséquence concrète pour un e-commerçant belge qui vend à des hôpitaux, à des industriels, à des communes ou à des opérateurs de transport : le questionnaire de sécurité arrive, et il faut y répondre pour rester fournisseur référencé. Un « nous ne sommes pas concernés par NIS2 » suffit à vous faire sortir d'un appel d'offres.

Le deuxième angle est l'argent, et il ne relève d'aucune directive. Febelfin a relevé 93 millions d'euros dérobés par hameçonnage en 2025^[8] : l'usurpation d'une boutique en ligne, d'une confirmation de commande ou d'une page de paiement fait partie de cette mécanique. Un domaine protégé en SPF, DKIM et DMARC, un back-office sous authentification à deux facteurs et une procédure de changement de coordonnées bancaires fournisseurs coûtent moins qu'un seul virement détourné. Si votre marché est bruxellois et bilingue, notre page prise de rendez-vous B2B à Bruxelles décrit comment ces arguments se transforment en rendez-vous qualifiés.

Les 5 premières actions

1. Trancher la qualification par écrit, en une page. Activité exacte, présence ou non de vendeurs tiers, effectif, chiffre d'affaires, bilan, pays de l'établissement principal, autres activités listées. Datée et signée par la direction : c'est la pièce que vous produirez si le CCB ou un client la demande^[1].
2. Si vous êtes une place de marché ou un fournisseur cloud : vous enregistrer auprès du CCB cette semaine. C'est l'obligation la plus simple et la plus visible, et son échéance est passée depuis le 18 décembre 2024^[2].
3. Faire l'auto-évaluation CyFun au niveau Basic et garder les écarts dans un tableau avec un responsable et une date^[6]. Hors périmètre, c'est la meilleure réponse préremplie aux questionnaires de vos clients.
4. Écrire la procédure d'incident avec les deux horloges — 24 h et 72 h vers le CCB, 72 h vers l'Autorité de protection des données en cas de données personnelles — et y inscrire un nom joignable le dimanche. Une boutique tombe en panne le week-end, pas le mardi à 10 h.
5. Activer l'authentification à deux facteurs sur le back-office, le CMS, la passerelle de paiement, le DNS et les accès de vos prestataires, puis désactiver les comptes des prestataires sortants le jour de leur départ.

Chez CyberNovaLabs.io

CyberNovaLabs.io travaille avec des PME des Pays-Bas, de Belgique, de France et du Luxembourg. Sur ce sujet, nous faisons trois choses : la note de qualification NIS2 en une page, l'auto-évaluation CyFun avec le plan d'écarts, et la réponse réutilisable aux questionnaires de sécurité de vos clients. Nos outils gratuits et notre page cybersécurité donnent le détail de la méthode ; les prestations sont sur devis.

Faire le point sur votre qualification NIS2 et vos questionnaires clients

Sources

1. CCB — NIS2 : champ d'application
2. CCB — FAQ NIS2 (PDF, FR, v2.0.1)
3. CCB — NIS2 obligations
4. CCB — La notification des incidents NIS2
5. CCB — Administrative measures and fines under NIS2
6. Safeonweb@work — FAQ NIS2 et CyberFundamentals (CyFun)
7. Becom — Rapport annuel sur le commerce electronique en Belgique
8. Febelfin — Rapport annuel 2025 (PDF)
9. Directive (UE) 2022/2555 (NIS2)
10. RGPD — Reglement (UE) 2016/679, article 33

À lire aussi